11 月 4 日凌晨，Anthropic 开源了一套可证明推理系统 FlashProve，详细技术报告在 11 月 2 日发布。

它要解决的问题，一句话就能说清，但过去没人能真正解决：你怎么知道，回答你问题的确实是它声称的那个模型？

调用 API 的机制像个黑箱。你发提示词，你收到 Token。中间那一段发生了什么，你无法验证。服务商可能悄悄把请求路由到便宜的小模型，可能在某次降级时换了后端，也可能在你不知情的时候做了压缩和改写。X 上有网友当天就做了梗图：FlashProve 揭开面具，底下写着「旗舰模型竟是我」——一张廉价模型的脸。

原理：不用看权重，也能验算

FlashProve 的核心技术是 zkSNARK——零知识简洁非交互式知识论证。

翻译一下：服务商为模型的回答生成一份密码学证明，用户不需要拿到模型权重、也不需要自己跑一遍大模型，就能在 CPU 上核验「这个输出符合指定模型的计算结果」。证明本身很小，验证很快。

四个关键数字：

• 测试模型：Meta 的 Llama 4 Maverick，4000 亿参数 MoE；
• 证明生成：单张 H100 GPU，单个请求的证明文件约 18.78MB（约 19MB）；
• 证明吞吐：约 110 Token/s；
• 用户端核验：24 线程 CPU 约 17 秒，不需要 GPU。

17 秒、一台普通机器的 CPU、一个 19MB 的文件。这个组合的可操作性，是它跟此前方案拉开距离的地方。

对照组是开源系统 VerInf，同样为 Llama 4 Maverick 生成证明：在单台 DGX Spark 上，为 1000 个 Token 的前向计算生成证明约需 14.3 小时，证明文件达 93.6GB，20 个 CPU 核心核验约需 17.7 小时。两项测试的硬件与任务设置不同，不能直接比，但量级差异摆在那里：证明文件从 93.6GB 到 19MB，核验从 17.7 小时到 17 秒。

它证什么，不证什么

必须把边界说清楚，否则容易误读。

它证的： 这个输出确实由所承诺的模型、按约定的计算过程产生。防的是「模型掉包」和「回答篡改」。

它不证的： 回答是否正确。一套完全正确的证明，可以对应一个彻头彻尾错误的答案。FlashProve 是来源证明，不是质量证明。

当前限制也很硬：

• 生成证明的 GPU 时间开销约为普通推理的 70 到 95 倍。也就是说，如果正常推理花 1 秒，加证明要花 70 到 95 秒的 GPU 时间；
• 只支持 1024 Token 上下文。现代 agent 会话动辄几万 Token，这个上限意味着它现在只能覆盖极短请求；
• 只支持整数模型与贪婪解码。采样、温度、top-p 这些常规参数都不在支持范围内；
• 需要服务方配合。这是个研究原型，不是可以单方面加在别人 API 上的中间件。

Anthropic 自己在报告里也没有粉饰这些。X 上最尖锐的质疑是：谁会愿意为这 70 到 95 倍的开销付钱？

值得关注的原因

第一，它把「AI 供应链安全」从概念变成了可执行动作。 企业采购 AI 时的核查手段，过去基本停留在合同条款和第三方评测。评测是抽样的、离线的、可被针对的；合同是事后追责的。FlashProve 提供的是第三种：对具体请求的、可验证的、不依赖信任的技术凭证。这个位置以前是空的。

第二，它是 agent 审计盲区的一块补丁。 现在的 agent 系统普遍带模型路由——按任务难度选模型、按成本降级、按可用性切换供应商。这套机制对成本友好，对审计极不友好：用户完全不知道自己那一步是被旗舰模型处理的，还是被路由到了小模型。当 agent 开始替代人做决策，这个盲区的代价会放大。

第三，监管方向上的意义可能大于技术意义。 报告明确提到，它可为监管机构提供监测服务商和企业 AI 使用合规性的渠道。在欧盟 AI Act 这类框架逐步落地的背景下，「可验证的模型来源」迟早会从加分项变成必选项。提前有开源实现，对买方是好事。

第四，它揭示了 AI 基础设施里一个还没被商业化的层。 70 到 95 倍的开销意味着全面开启不现实，但抽样审计、高价值请求、合同约定的定期核验都是可承受的场景。这个「按需证明」的模式，很像当年 TLS 从全站加密到选择性加密的演进路径——先解决有没有，再解决贵不贵。

一句话：FlashProve 现在的状态是「能证明，但太贵」。但它证明了一件事是可能的——AI 服务的可信，不必建立在信任之上，可以建立在数学之上。 这一步迈出去之后，剩下的就是工程和成本问题。